Законно ли записывать разговоры с клиентами и давать их ИИ

Вопрос «законно ли записывать разговоры с клиентами» звучит в отделе продаж обычно поздно: запись уже настроена, архив копится второй год, а поводом становится либо жалоба клиента, либо решение подключить к архиву внешний сервис анализа. К этому моменту компания уже оператор персональных данных со всеми обязанностями, просто пока об этом не знает.

Записывать можно, отдавать записи на анализ тоже. Законность держится на четырёх вещах, и все четыре оформляет сама компания: правовое основание обработки, предупреждение клиента до начала разговора, договор-поручение с сервисом и локальный акт для сотрудников. Ниже - что означает каждый пункт, что изменилось за последний год и почему принятый 26 июля 2026 года закон об искусственном интеллекте на эту схему почти не влияет.

Тема соседняя с маркировкой звонков, но согласие там другое: маркировка про право позвонить, здесь - про право записать и обработать разговор. Техническую сторону - как включить запись и связать её с CRM - разбирает материал про запись звонков в отделе продаж. А посмотреть, что происходит внутри уже накопленных разговоров, можно на бесплатном аудите до 60 минут записей.

Всё, что ниже, - пересказ норм и позиций юристов со ссылками на первоисточники. Это общая рамка, а не юридическая консультация: свою ситуацию стоит обсудить со своим юристом.

Законно ли записывать разговоры с клиентами?

Да, при соблюдении условий 152-ФЗ. Запись разговора - это обработка персональных данных, и закон ставит к ней три требования: правовое основание из статьи 6, информирование клиента до начала обработки, соразмерность состава данных и срока хранения заявленной цели. Отдельного разрешения на запись закон не предусматривает, зато требует, чтобы компания могла объяснить, зачем она записывает и сколько хранит.

Аудиозапись почти всегда содержит персональные данные: имя, номер телефона, адрес доставки, состав заказа, иногда паспортные данные. Значит, к записи применяется Федеральный закон от 27.07.2006 № 152-ФЗ целиком.

Согласие - лишь одно из оснований обработки, перечисленных в части 1 статьи 6. Для работы с клиентами практика опирается на два соседних пункта:

• пункт 5 - обработка необходима для исполнения договора, стороной которого является субъект персональных данных;
• пункт 7 - обработка необходима для осуществления прав и законных интересов оператора или третьих лиц, «при условии, что при этом не нарушаются права и свободы субъекта персональных данных».

Для действующего клиента запись разговора обычно кладут на пункт 5. В холодном обзвоне и в задачах контроля качества чаще опираются на пункт 7: разрешение споров, доказательство условий сделки, обучение сотрудников.

Фоном работает статья 5 с принципами обработки. Она ломается на практике чаще, чем статья 6: цели записи нигде не зафиксированы, состав данных избыточен, а архив хранится «на всякий случай» без срока. Формально основание есть, фактически обработка выходит за его пределы.

Голос в записи - это биометрия?

Как правило, нет, хотя прямой нормы об этом в законе нет. Регулятор исходит из цели использования: сведения становятся биометрическими, когда оператор применяет их для установления личности, а пока запись нужна для контроля качества разговора, режим статьи 11 с письменным согласием, по этой логике, не включается.

Цена вопроса высокая. Если голос считать биометрией, включается статья 11 152-ФЗ с требованием письменного согласия, а получить письменный документ на входящем звонке физически невозможно.

Критерий заложен в самой норме. Часть 1 статьи 11 152-ФЗ относит к биометрии сведения о физиологических и биологических особенностях человека, на основании которых можно установить его личность, «и которые используются оператором для установления личности субъекта персональных данных». Режим статьи 11 включает не наличие голоса в записи, а цель его использования.

Прикладной вывод из юридической консультации по нашему сценарию:

«Поскольку в данном случае запись не используется для идентификации личности субъекта персональных данных, думается, данные действия не могут считаться обработкой биометрических персональных данных и статьей 11 Закона N 152-ФЗ не регулируются, соответственно, не требует получения письменного согласия»

• правовая консультация, материал КонсультантПлюс (Н. А. Бекетова), актуально на 12.05.2025, публикация telecom.perm.ru

Иначе выглядит голосовая идентификация спикера. «Узнать клиента по голосу» и сверка с эталонным отпечатком - это уже цель установления личности, и тогда работает статья 11. Разделение говорящих внутри одной записи под эту цель не подпадает: система различает две дорожки и понимает, где менеджер, а где клиент, но не устанавливает, кто именно говорит.

Утечка биометрии идёт отдельным составом по части 17 статьи 13.11 КоАП с суммами 15-20 млн рублей для юрлица. Поэтому перед подключением сервиса стоит спросить прямо, есть ли в нём функции распознавания говорящего по голосу.

Прямой нормы, которая называла бы голос биометрией или не-биометрией, в 152-ФЗ нет. Зато есть критерий цели в части 1 статьи 11, и именно на нём держится вся конструкция.

Нужно согласие клиента или достаточно уведомить?

Это главный спор темы, и единой позиции у юристов нет.

Первая позиция опирается на то, что у обработки есть самостоятельное основание, а предупреждение закрывает обязанность информировать по статьям 14 и 18 152-ФЗ. Если клиент, услышав предупреждение, продолжает разговор, практика трактует это как согласие действием.

Вторая позиция строится на том, что контроль качества и обучение персонала остаются целью самой компании и в исполнение договора с клиентом не входят, поэтому основание из пункта 5 сюда не тянется. Согласие же по части 1 статьи 9 должно быть конкретным, предметным, информированным, сознательным и однозначным, а фраза автоинформатора длиной в одно предложение этим требованиям не отвечает.

Ещё одно изменение сломало старую практику. Федеральный закон от 24.06.2025 № 156-ФЗ дополнил статью 9 152-ФЗ: с 1 сентября 2025 года согласие оформляется отдельным документом, не объединённым с договором, офертой, анкетой или пользовательским соглашением.

Требование отдельного документа косвенно усиливает первую позицию. Чем меньше процессов компании держится на согласии, тем меньше их зацепит и это изменение, и будущая реформа учёта согласий.

Что должно прозвучать в предупреждении о записи?

В предупреждении должна прозвучать цель записи. Отдельной нормы «оператор обязан произнести в трубку, что разговор записывается» в законе нет, обязанность выводится из статей 5, 14 и 18 152-ФЗ. Из них же следует, что информирование без цели требование не закрывает: «разговор записывается» - слабая формулировка, «разговор записывается в целях контроля качества обслуживания» - рабочая.

Практика сходится на трёх требованиях к предупреждению:

1. Оно звучит до содержательной части разговора - раньше, чем клиент назовёт свои данные.
2. Оно называет цель записи, потому что статья 5 требует определённости цели.
3. Оно работает на обеих линиях. Типичная дыра: автоинформатор стоит на входящих, а на исходящих менеджер набирает номер сам, и запись включается молча.

Проверить это можно за пять минут. Позвоните с рабочего номера на личный мобильный, а потом попросите коллегу позвонить вам. Если предупреждение звучит только в одну сторону, дыра найдена.

Что оформить, чтобы записывать разговоры своих сотрудников?

Нужен локальный акт и ознакомление под подпись, а при передаче записей наружу - ещё и письменное согласие работника. На саму запись рабочих разговоров согласие работника, по позиции Правового консалтинга ГАРАНТ, не требуется, если цель - контроль количества и качества выполняемой работы.

Формулировка позиции:

«согласие работников организации на обработку их персональных данных, полученных в ходе записи телефонных разговоров не требуется, если такая обработка осуществляется в целях контроля количества и качества выполняемой работы (п. 5 ч. 1 ст. 6 Закона о персональных данных, п. 1 ст. 86 Трудового кодекса)»

• Служба Правового консалтинга ГАРАНТ, garant.ru

Правовой консалтинг ГАРАНТ там же оговаривает, что в запись попадает больше данных, чем нужно для цели, поэтому правила записи стоит зафиксировать во внутреннем документе и ознакомить работников под подпись. Обоснование - апелляционное определение Омского областного суда от 08.10.2014 по делу № 33-6688/2014.

Отдельная норма, которую в разборах записи звонков почти не вспоминают, - статья 88 Трудового кодекса. Она запрещает работодателю «сообщать персональные данные работника третьей стороне без письменного согласия работника», и перечень исключений в ней закрытый: коммерческого подрядчика там нет. То есть основание из статьи 6 152-ФЗ закрывает вопрос про данные клиента, но данные сотрудника, попавшие в ту же запись, живут по своей норме. Та же статья требует ограничить доступ к персональным данным работника кругом уполномоченных лиц - это тот самый разграниченный доступ к архиву, о котором обычно вспоминают последним.

Общий ограничитель для любой позиции - тайна связи, закреплённая статьёй 23 Конституции, статьёй 63 закона «О связи» и статьёй 138 УК РФ. Дел против работодателя, который пишет собственную АТС, по этой статье практика не знает: она работает против тех, кто получает доступ к чужим переговорам незаконно. Из общей рамки следуют три практические границы:

• записывается только рабочая линия: ни микрофон устройства, ни личные разговоры сотрудника с корпоративного телефона;
• запись не скрытая: сотрудник знает о ней заранее;
• записи не уходят третьим лицам без основания, а сервис анализа звонков для компании как раз третье лицо.

Что делать с результатами оценки - отдельный сюжет. Перечень дисциплинарных взысканий закрыт статьёй 192 ТК РФ, и штрафа в нём нет. Как это устроено и что можно, разобрано в материале про тайного покупателя.

Документы решают вопрос «можно ли», но не отвечают на вопрос «что там вообще происходит». Разговоры, которые вы уже записали, обычно показывают больше, чем ожидает руководитель: где менеджер не задал вопрос, где не зафиксировал следующий шаг, где клиент ушёл. С этого начинается бесплатный аудит до 60 минут записей звонков - прогоняем ваши записи по дереву оценки, то есть по списку критериев для каждого этапа разговора, и показываем, где и почему теряются клиенты.

Можно ли отдать записи стороннему ИИ-сервису?

Текст нормы:

«Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора... Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом»

• часть 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ, legalacts.ru

Что должно быть в поручении: перечень персональных данных, перечень действий с ними, цели обработки, обязанность соблюдать конфиденциальность, обязанность обеспечивать безопасность и требования к защите по статье 19.

Ответственность при этом распределяется так:

В записи, которую вы отдаёте сервису, персональные данные двух людей: клиента и своего сотрудника. Первые закрываются основанием из статьи 6 и договором-поручением, вторые - письменным согласием работника по статье 88 Трудового кодекса. Части 4, 5 и 6 статьи 6 расставляют роли: подрядчик не собирает согласия сам, ответственность перед клиентом остаётся на операторе. При утечке у подрядчика претензия придёт в компанию, а взыскать с подрядчика получится ровно то, что записано в договоре.

Верховный Суд подтвердил это на конкретном деле. В постановлении от 21.01.2026 № 5-АД25-119-К2 рассматривалась утечка через скомпрометированную инфраструктуру подрядчика, и суд указал, что доступ злоумышленника через подрядную организацию не снимает ответственности с оператора, не обеспечившего защиту своих систем и контроль за защитой у подрядчика.

Формулировка «вправе поручить... с согласия субъекта» читается двояко. Одни юристы считают, что согласие на поручение нужно всегда, другие - что поручение идёт на том же основании, что и сама обработка. Практика в основном идёт по второму пути, но норма действительно неоднозначна.

Что спросить у сервиса, которому отдаёте записи

Восемь вопросов ниже закрывают и требования закона, и типовые риски; отвечать на них должен любой подрядчик - от облачной телефонии до сервиса анализа разговоров. Если ответы приходится вытягивать, это само по себе ответ.

1. Где физически хранятся записи. Часть 5 статьи 18 152-ФЗ требует, чтобы база с данными граждан РФ находилась на территории России. Зарубежное облако ломает это требование, а трансграничная передача требует отдельного уведомления Роскомнадзора по статье 12.
2. Есть ли договор-поручение с полным набором условий из части 3 статьи 6. Обычный договор оказания услуг, где про персональные данные ни слова, эту роль не выполняет.
3. Дообучает ли подрядчик свои модели на ваших записях. Это отдельная цель обработки, которой в вашем поручении, скорее всего, нет. Если данные используются для собственных задач подрядчика, он перестаёт быть обработчиком и становится самостоятельным оператором со своей ответственностью.
4. Как разграничен доступ к записям на стороне сервиса: кто именно видит файлы, ведётся ли журнал доступа.
5. Есть ли распознавание говорящего по голосу - от этого зависит, включается режим биометрии или нет.
6. Как удаляются данные по вашему запросу и в какой срок. При отзыве согласия часть 5 статьи 21 152-ФЗ даёт на прекращение обработки и уничтожение не более 30 дней.
7. Что происходит с записями после расторжения договора: удаляются, выгружаются, остаются в базе подрядчика.
8. Готов ли подрядчик подписать соглашение о конфиденциальности отдельным документом.

Есть риск, который не закрывается ни одним договором. Сотрудник копирует расшифровку разговора с клиентом в публичную нейросеть, чтобы «попросить резюме». Формально это передача персональных данных третьему лицу без основания, и в поручении такого сервиса нет.

Те же вопросы стоит задавать и внешнему отделу контроля качества: записи там точно так же уезжают наружу и хранятся у подрядчика. Сравнение трёх схем контроля - своими силами, на аутсорсе и автоматикой - разобрано в материале про отдел контроля качества.

Что требует от вас закон об ИИ 243-ФЗ?

По тексту закона - почти ничего, если вы применяете чужой ИИ-сервис. Федеральный закон от 26.07.2026 № 243-ФЗ адресует обязанности разработчикам суверенных и национальных моделей, площадкам с посещаемостью свыше 500 тысяч пользователей в сутки и тем, кто предоставляет модель для применения, а компании, которая просто пользуется чужим сервисом, в этом списке нет.

Полное название - «О поддержке развития технологий искусственного интеллекта в Российской Федерации», и жанр виден из названия: это закон о поддержке отрасли. Предмет регулирования сформулирован в части 1 статьи 1:

«Настоящий Федеральный закон регулирует отношения в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта»

• Федеральный закон от 26.07.2026 № 243-ФЗ, publication.pravo.gov.ru

Порог задан в пункте 2 статьи 3: модель должна содержать «не менее 1 миллиарда параметров» и применяться «для выполнения большого количества различных задач». Узкая модель, которая расшифровывает разговор и выставляет ему баллы по критериям, под это определение, судя по формулировке, не подпадает - но практики применения ещё нет, и вопрос стоит держать открытым.

Разбор по статьям, которые обычно пересказывают неточно:

Часть 1 статьи 9 звучит так:

«Лицу, применяющему большую фундаментальную модель искусственного интеллекта в целях создания информационного материала в аудио- и (или) визуальной форме, обеспечивается возможность размещения информационного предупреждения о применении технологий искусственного интеллекта»

• Федеральный закон от 26.07.2026 № 243-ФЗ, publication.pravo.gov.ru

Даты вступления: общие нормы - с 1 сентября 2026 года, статьи 8-10 и режим суверенных моделей - с 1 марта 2027 года.

При проверке фактов легко попасть в ловушку. Часть экспертных публикаций написана по законопроекту и приписывает применяющим ИИ обязанности раскрывать использование систем, проводить оценки воздействия и обеспечивать обжалование решений. В принятом тексте этих норм нет.

Основное, что регулирует сценарий «ИИ слушает звонки» сегодня, лежит в 152-ФЗ и Трудовом кодексе. Повторим оговорку: это общая рамка по тексту закона, юридическую консультацию она не заменяет, и подзаконные акты к 243-ФЗ ещё будут приниматься.

Один практический плюс закона появится с марта 2027 года: у подрядчика можно будет требовать ясности, кому принадлежат расшифровки и аналитика и можно ли их выгрузить.

Когда оценка ИИ становится решением машины?

Решением машины оценка становится тогда, когда по ней автоматически что-то происходит с человеком. Пока оценка - материал для руководителя, статья 16 152-ФЗ не включается, а настроенная цепочка «балл ниже порога - минус премия» делает решение машинным.

Формулировка запрета:

«Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных частью 2 настоящей статьи»

• часть 1 статьи 16 Федерального закона № 152-ФЗ, legalacts.ru

Часть 2 допускает такие решения при письменном согласии, часть 3 обязывает разъяснить порядок принятия решения и дать возможность заявить возражение, часть 4 - рассмотреть возражение в течение тридцати дней.

Для отдела продаж разница между «система подсветила отклонение» и «система решила» проходит по одному признаку - есть ли между оценкой и последствием живой человек, который смотрит запись и принимает решение. Оставить человека в этой цепочке дешевле и юридически, и управленчески: оценку, которую невозможно объяснить менеджеру, всё равно не получится защитить в разговоре с ним.

Граница между «подсветила» и «решила» в законе не проведена, и автоматизация мотивации по баллам - зона реального риска.

Какие критерии оценки допустимы, а какие превращаются в слежку?

Граница проходит не по факту записи, а по формулировке критерия: критерий, описывающий наблюдаемое действие, оценивает работу, а формулировка про состояние человека оценивает уже личность.

Техническая сторона задаёт рамку. Системы речевой аналитики - те, что переводят разговор в текст и проверяют его по заданным критериям, - надёжно ловят наблюдаемое и структурное: было ли произнесено слово, был ли этап, кто говорил больше, какой длины пауза. Интерпретируемое - искренность, ирония, «почему клиент на самом деле ушёл» - ловится плохо, шкала тональности грубая. Подробнее это разобрано в материале про то, как ИИ анализирует звонки.

Отсюда классификация, которая одновременно решает и техническую, и правовую задачу:

Рабочий тест критерия простой. Поставят ли двое проверяющих одинаковую отметку, послушав одну и ту же запись? Если ответ зависит от вкуса проверяющего, критерий надо переписать через конкретный признак - число вопросов, названный шаг сделки, наличие или отсутствие конкретной фразы. Как собрать такой набор целиком, разобрано в чек-листе оценки звонка.

Есть и третий довод, помимо техники и права. Оценка, сформулированная через наблюдаемый факт, известна менеджеру заранее и работает как правило игры. Оценка через впечатление читается как поиск виноватых, а тогда сотрудники начинают играть на проверяющего, и метод перестаёт мерить реальность. Качество данных падает вместе с доверием.

Техника связана с последствиями напрямую. Заметная часть претензий к точности ИИ объясняется качеством самой записи. Запись, где оба голоса сведены в одну дорожку, и плохая линия обесценивают любой анализ: система хуже разделяет говорящих и теряет слова. Управленческое решение по человеку, построенное на такой оценке, не выдерживает даже внутреннего разбора.

Сколько стоит ошибка: штрафы и первая практика

Составов много, суммы выросли с 30 мая 2025 года, но первые решения судов показывают снижение штрафов и предупреждения вместо взысканий. Самые вероятные для отдела продаж составы скучнее утечки: обработка без правового основания, отсутствие политики обработки в открытом доступе и неподанное уведомление в Роскомнадзор. Миллионные суммы в статье 13.11 КоАП относятся к утечкам, а не к самой записи разговоров.

Федеральный закон от 30.11.2024 № 420-ФЗ переписал статью 13.11 КоАП РФ («Нарушение законодательства в области персональных данных»). Суммы для юридических лиц по частям этой статьи:

Первые дела по новым частям показывают, что правоприменение мягче цифр в таблице. В марте 2026 года по делу № А40-351064/2025 при утечке около полумиллиона строк данных Роскомнадзор квалифицировал нарушение по части 14 с вилкой 10-15 млн рублей, а суд назначил 400 тысяч, применив нормы о микропредприятии. По делу № А56-4733/2026 при утечке данных 70 тысяч человек суд ограничился предупреждением.

ГАРАНТ.РУ, разбирая эти решения, формулирует осторожно: суд относится к операторам-нарушителям лояльно пока. Ориентироваться на неё как на стратегию не стоит, но и пугать себя миллионами до первой проверки тоже незачем: типовая история отдела продаж начинается с более скучных составов, чем утечка.

Что оформить на этой неделе: чек-лист из восьми пунктов

Восемь пунктов закрывают обе стороны - клиента и сотрудника. Проверка занимает пару часов и требует доступа к политике обработки данных, договору с сервисом телефонии и настройкам автоинформатора. Первые три пункта самые дешёвые в исполнении и самые частые в нарушениях, последний - про формулировки критериев оценки, и он же обычно самый неожиданный для руководителя.

1. Зафиксируйте основание записи в политике обработки персональных данных: пункт 5 или пункт 7 части 1 статьи 6, с названной целью. Цель «контроль качества обслуживания» должна быть в политике дословно.
2. Проверьте предупреждение на обеих линиях. Позвоните сами и попросите позвонить вам. Предупреждение должно звучать до содержательной части и называть цель.
3. Проверьте, поданы ли сведения в Роскомнадзор. Компания, записывающая звонки, - оператор персональных данных, и уведомление обязательно.
4. Установите срок хранения записей и порядок их уничтожения. Статья 5 требует, чтобы срок хранения соответствовал цели, а бессрочный архив этому требованию не отвечает независимо от основания.
5. Разграничьте доступ к архиву. Доступ к папке с записями у всей команды плохо согласуется с требованием статьи 19 принимать необходимые меры защиты.
6. Проверьте договор с сервисом анализа. Обычного договора оказания услуг здесь недостаточно: нужно поручение обработки с перечнем данных, действий, целей и требованиями к защите.
7. Оформите локальный акт для сотрудников, ознакомьте их под подпись и возьмите письменное согласие на передачу записей внешнему сервису - этого требует статья 88 Трудового кодекса. Заодно это снимает половину сопротивления: человек, который заранее знает, что записывается и по каким критериям оценивается, спорит с конкретным пунктом; сам факт контроля перестаёт быть поводом для спора.
8. Проверьте формулировки критериев оценки. Каждый критерий, который описывает состояние человека вместо действия, - кандидат на переписывание.

Куда движется регулирование

Регулирование движется в сторону централизованного учёта согласий. В начале августа 2026 года Минцифры предложило единую платформу, куда все операторы передавали бы сведения о полученных согласиях, а граждане видели бы и отзывали их в одном окне; инициатива пока не поддержана Банком России и Минэкономразвития и в Думу не внесена.

Позиции сторон разошлись. Банк России считает, что сначала нужен работающий ресурс для граждан и только потом обязанности для бизнеса. Минэкономразвития говорит о необходимости учесть отраслевую специфику и возможности малого бизнеса. Ассоциация больших данных предупреждает, что подключение посильно только крупным организациям. Игорь Бедеров из Консультативного совета Национального союза бизнеса просит переходный период не меньше 12-18 месяцев, иначе переподтверждение согласий, по его словам, парализует клиентские сервисы.

Для планирования отсюда следует простое правило. Чем меньше процессов компании держится на согласии как основании, тем меньше её зацепит будущая реформа. Схема «основание из статьи 6 плюс корректное информирование» устойчивее к изменениям, чем схема «на всё берём согласие».

Восемь пунктов чек-листа закрывают вопрос «можно ли». Что при этом происходит в самих разговорах, ни один документ не покажет - это видно только в записях. С них и начинается бесплатный аудит до 60 минут.